Попередження про сертифікат змінюється з VPN: порівняйте обидва шляхи

Попередження про сертифікат з’являється в офісній мережі Wi-Fi і зникає в момент підключення VPN. Це реальне спостереження, але не діагноз. Ви знаєте лише те, що дві мережеві умови дали різні результати перевірки, а список можливих причин довгий. Ставтеся до цього як до контрольованого порівняння, а не як до доказу компрометації маршрутизатора.

Те саме попередження може з’являтися й навпаки: чисто в локальній мережі, зламано через тунель. Обидва напрямки дають дві точки даних і жодного пояснення.

Тримайте порівняння на одній змінній за раз

Використовуйте те саме ім’я хоста, той самий профіль браузера і перевірений годинник пристрою. Записуйте точний текст помилки та час для кожної умови. VPN увімкнено і VPN вимкнено — це позначки двох умов, а не пояснення різниці.

Змінюйте по одній речі за раз. Якщо в одній спробі змінити DNS-сервери, браузер і мережу, ви дізнаєтеся, що щось у цьому наборі важливе, а це майже те саме, що не дізнатися нічого.

Тримайте в нотатках невелику таблицю: умова, резолвер, адреса призначення, помилка та відбиток сертифіката. П’ять рядків такої таблиці зазвичай кращі за годину здогадів.

Прочитайте категорію помилки раніше за сертифікат

Незбіг імені, недовірений видавець і прострочений сертифікат — різні знахідки. Настанови Chrome щодо помилок підключення розділяє їх, а точний код на сторінці помилки каже, з яким ви маєте справу. Цей код визначає, що порівнювати далі.

Якщо помилка — незбіг імені, поданий сертифікат не покриває запитане ім’я хоста. Якщо це недовірений видавець, ланцюг не веде до кореня, якому довіряє браузер. Якщо це прострочення, дати неправильні, що також може означати неправильний годинник пристрою.

Не проходьте повз попередження і не встановлюйте невідомий корінь, щоб сторінка завантажилася. Це перетворює знахідку на приховану зміну.

Порівняйте листок, ланцюг і контекст

Коли з’являється інший сертифікат, установіть, чи кожен належить потрібному сервісу. Схвалене поновлення або інша кінцева точка сервісу можуть пояснити законну зміну. Несподіване ім’я або видавець — привід запитати власника сервісу, а не вирок. Лише відбиток не каже, який із цих випадків ви бачите.

Коли той самий листок з’являється в обох умовах, порівнюйте наданий ланцюг і контекст перевірки, а не зупиняйтеся на збіжному відбитку. Помилка може стосуватися проміжного сертифіката або налаштування довіри, а не самого листка. Тримайте точну помилку поруч із порівнянням.

VPN може змінити шлях резолвера, вибране призначення, шлях через проксі або те, як відповідає сервіс, залежний від джерела. Сторінка, що завантажується через тунель, не вказує, яка з цих змінних мала значення. Перехід на публічний резолвер і спостереження завантаження сторінки не є незалежним підтвердженням ідентичності сайту.

Напишіть передачу, за якою власник зможе діяти

Корисний звіт містить потрібне ім’я хоста, два часи спроб, точні помилки та публічні дані сертифіката: суб’єкт, видавець, термін дії, відбиток і ланцюг. Приховуйте внутрішні імена, якщо звіт виходить за межі схваленої аудиторії.

Після того як власник надасть перевірене виправлення, повторіть початковий запит, зберігши звичайну перевірку недоторканою. Потім закрийте порівняння із записаним результатом.

Якщо докази досі показують лише те, що один шлях успішний, а інший ні, скажіть саме це. Обмежена й точна знахідка корисніша за широке скидання маршрутизатора, зміну сховища довіри або виняток безпеки, який прибирає симптом і приховує причину.